CVE-2026-28672
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Podatność wstrzyknięcia poleceń (Command Injection) w Apache Ranger w wersjach od 0.6 do 2.8. Brak informacji o zalecanej wersji w opisie.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Należy sprawdzić dostępność aktualizacji i zastosować poprawki bezpieczeństwa dla Apache Ranger.
Inne podatności w Apache Ranger
Zobacz wszystkie- CVE-2016-2174Wysokie
W narzędziu administracyjnym polityk w Apache Ranger przed wersją 0.5.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL za pomocą parametru eventTime.
- CVE-2016-0735Wysokie
Apache Ranger w wersjach 0.5.x przed 0.5.2 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu na poziomie zasobów nadrzędnych poprzez niewłaściwe zarządzanie polityką wykluczenia na poziomie zasobów.
- CVE-2015-0266Wysokie
Narzędzie administracyjne polityki w Apache Ranger przed wersją 0.5.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu poprzez bezpośredni dostęp do adresów URL modułów.
- CVE-2026-55799Krytyczne
Podatność zdalnego wykonania kodu w GraalScriptEngineCreator w Apache Ranger w wersjach do 2.8.0. Zaleca się aktualizację do wersji 2.9.0, która naprawia ten problem.
- CVE-2026-44416Krytyczne
Podatność zdalnego wykonania kodu poprzez dowolną instancję klasy w komponencie plugin-schema-registry w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-42537Krytyczne
Podatność zdalnego wykonania kodu poprzez wstrzyknięcie w URL JDBC w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-40920Krytyczne
Podatność eskalacji uprawnień poprzez parametr URL w Apache Ranger w wersjach do 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-32227Krytyczne
Podatność wstrzyknięcia SQL w Apache Ranger. Zalecane jest uaktualnienie do wersji 2.9.0, która naprawia problem.
- CVE-2017-7676Krytyczne
Matcher zasobów polityki w Apache Ranger przed wersją 0.7.1 ignoruje znaki po znaku wieloznacznym '*', co może prowadzić do niezamierzonego zachowania.
- CVE-2016-0733Krytyczne
Interfejs administracyjny w Apache Ranger przed wersją 0.5.1 nieprawidłowo obsługuje żądania uwierzytelnienia, które nie zawierają hasła. To pozwala zdalnym atakującym na ominięcie uwierzytelnienia, wykorzystując znajomość prawidłowej nazwy użytkownika.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability in Apache Ranger. This issue affects Apache Ranger: from 0.6 through 2.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS